Attaque MITM : comprendre l'homme du milieu et s'en protéger

MITM (Man in the Middle) désigne une attaque de type " homme du milieu " où un cybercriminel intercepte, de façon invisible, l'échange de données entre deux parties. L'utilisateur pense dialoguer directement avec un site, une application ou un appareil, mais une partie du trafic transite en fait par un point de contrôle tenu par l'attaquant.

Le terme MITM, abréviation de l'anglais " Man in the Middle ", signifie littéralement " homme au milieu ". Ce type d'attaque permet non seulement d'espionner les informations échangées, mais aussi, dans certains cas, de les modifier : remplacer des pages, intercepter des mots de passe, rediriger l'utilisateur ou altérer la communication.

La menace MITM s'avère particulièrement critique dans les réseaux locaux peu sécurisés, les Wi-Fi publics ou lorsque l'utilisateur ignore les avertissements du navigateur concernant les certificats. Toutefois, les technologies modernes de chiffrement, comme HTTPS et TLS, compliquent fortement la réalisation de telles attaques.

Découvrons ensemble ce qu'est une attaque " homme du milieu ", comment un attaquant s'insère dans une connexion, les méthodes de capture de trafic et les moyens de s'en protéger.

MITM : explication simple

Une attaque MITM survient quand un cybercriminel parvient à s'interposer entre un utilisateur et la ressource avec laquelle il échange des données. Au lieu d'une connexion directe, les informations transitent par un point intermédiaire contrôlé par l'attaquant.

Dans un schéma classique, l'utilisateur envoie une requête au site, le serveur répond. Mais lors d'une attaque MITM, une étape supplémentaire s'intercale : l'utilisateur transmet ses données à l'attaquant, qui les relaie ensuite au serveur. Les réponses suivent le même chemin en sens inverse.

La principale caractéristique d'une attaque MITM est que les deux parties peuvent ne pas détecter l'intrusion. L'utilisateur croit s'adresser au vrai site, le serveur reçoit des requêtes semblant provenir d'un client légitime.

Si la connexion n'est pas suffisamment protégée, l'attaquant voit passer les informations échangées : identifiants, mots de passe, contenus des messages, adresses web visitées, paramètres de requêtes, etc.

Dans certains scénarios, l'attaquant ne se limite pas à la lecture du trafic. Il peut aussi le modifier : changer des liens, redirection vers d'autres pages, altération des réponses ou tentative de collecter plus de données.

À noter : une attaque MITM ne signifie pas que toute personne connectée au même réseau voit automatiquement tout le trafic. L'attaquant doit d'abord réussir à faire passer l'échange de données par son dispositif ou sa connexion sous contrôle.

C'est pourquoi les MITM sont souvent liées à des réseaux locaux, des points Wi-Fi frauduleux, des usurpations d'adresse réseau ou d'autres méthodes d'altération du chemin de communication.

Comment fonctionne une attaque " homme du milieu " ?

Pour réaliser une attaque MITM, le cybercriminel doit s'insérer dans le canal de communication entre l'utilisateur et le service cible. Dès lors, le trafic passe par un point intermédiaire, bien que la connexion semble normale aux deux extrémités.

Comment l'attaquant s'intercale-t-il entre l'utilisateur et le serveur ?

Le mode opératoire dépend du réseau et du type d'attaque. En réseau local, l'agresseur peut manipuler des paramètres pour forcer les appareils à rediriger une partie du trafic via son ordinateur. Alternativement, l'utilisateur peut se connecter à un faux point Wi-Fi ressemblant à un réseau public familier.

Le schéma devient alors :

• Utilisateur → appareil de l'attaquant → vrai serveur

Côté serveur, les requêtes paraissent normales car l'attaquant les relaie. L'utilisateur reçoit aussi de vraies réponses, d'où l'impression que le site ou l'application fonctionne comme d'habitude.

Interception et modification des données transmises

Si les données ne sont pas bien chiffrées, l'attaquant peut analyser le trafic. Selon le protocole et la configuration, il peut lire les paramètres, contenus de pages, identifiants de session, etc.

La MITM ne sert pas qu'à lire : si l'attaquant peut modifier le trafic, il peut altérer la réponse du serveur avant qu'elle n'arrive à la victime. Par exemple, une page demandée arrive du vrai site, est modifiée sur le dispositif intermédiaire, puis affichée dans le navigateur, sans que le serveur ne sache qu'elle a été altérée.

Pourquoi la victime ne remarque-t-elle rien ?

La dangerosité du MITM réside dans le fait que tout semble fonctionner normalement. Le site s'ouvre, l'application répond : il n'y a souvent pas de signe évident d'intrusion.

L'attaquant a intérêt à relayer soigneusement le trafic et à n'intervenir que là où c'est nécessaire. Si la connexion se coupe ou si les pages ne s'affichent plus, la victime risque de se douter de quelque chose.

Le chiffrement moderne limite fortement ces possibilités. Si l'utilisateur établit une connexion HTTPS correctement sécurisée, l'appareil intermédiaire ne voit que l'existence du transfert et certains paramètres réseau, mais ne peut accéder au contenu sans conditions particulières.

Dans la réalité, une attaque MITM ne passe donc pas tant par l'écoute du réseau que par la tromperie de l'appareil, la modification du chemin du trafic ou la manipulation de la confiance de l'utilisateur dans une connexion en réalité compromise.

Les principaux types d'attaques MITM

Il existe plusieurs techniques pour mener une attaque MITM, mais l'objectif reste le même : forcer le trafic à passer par un point contrôlé ou rediriger l'utilisateur vers un site non souhaité.

ARP spoofing

L'ARP spoofing est l'une des méthodes les plus connues pour lancer une attaque MITM dans un réseau local. Le protocole ARP associe les adresses IP des appareils à leurs adresses MAC.

L'attaquant envoie de faux messages ARP au réseau pour convaincre les appareils que son ordinateur est lié à l'adresse du routeur. En parallèle, le routeur peut être trompé pour croire que l'appareil de l'attaquant est celui de la victime.

Conséquence : une partie du trafic circule via l'attaquant :

• Ordinateur de l'utilisateur → appareil de l'attaquant → routeur

La connexion Internet fonctionne toujours, donc la victime ne remarque pas forcément la supercherie. L'attaquant peut alors analyser, lire ou modifier le trafic en clair.

L'ARP spoofing fonctionne surtout dans un même réseau local et représente donc un risque accru dans les réseaux d'entreprise, domestiques ou publics faiblement sécurisés où l'attaquant a déjà un accès initial.

DNS spoofing

Le DNS traduit les adresses web familières en adresses IP de serveurs. Quand l'utilisateur saisit un nom de domaine, le système détermine d'abord à quelle adresse se connecter.

Le DNS spoofing consiste, pour l'attaquant, à fournir une fausse réponse. L'utilisateur tape la bonne adresse, mais se voit attribuer une mauvaise IP et se connecte à un serveur frauduleux.

Le risque : la victime ne remarque pas toujours la redirection, le domaine affiché étant correct et la copie du site pouvant être très fidèle.

Cependant, l'HTTPS moderne complique ce scénario : si le serveur frauduleux ne possède pas de certificat valide, le navigateur doit alerter l'utilisateur d'un problème de sécurité.

MITM sur Wi-Fi public

Les réseaux Wi-Fi ouverts sont un terrain propice pour les attaques MITM. Le danger ne vient pas tant du Wi-Fi lui-même, mais du fait que l'on ignore souvent qui gère le point d'accès et comment il est configuré.

L'attaquant peut créer un réseau au nom similaire à celui d'un café, hôtel ou aéroport. Si l'utilisateur s'y connecte, tout son trafic passe alors par l'équipement de l'attaquant.

Une autre tactique consiste à intervenir directement dans le réseau local partagé, par exemple via ARP spoofing.

Les connexions HTTPS sécurisées empêchent la lecture directe des pages, mots de passe ou messages. Mais les protocoles non chiffrés, ou les erreurs de l'utilisateur (comme continuer après un avertissement de certificat), augmentent le risque d'une attaque réussie.

Se connecter à un Wi-Fi public ne signifie donc pas que les données sont forcément interceptées. Le risque dépend de la structure du réseau, des protocoles utilisés et de la rigueur du navigateur ou de l'application dans la vérification de la connexion sécurisée.

HTTPS protège-t-il des attaques MITM ?

HTTPS est l'une des principales technologies protégeant contre l'interception de données lors d'une attaque MITM. Il repose sur le chiffrement TLS, assurant que les échanges entre navigateur et serveur sont cryptés.

Un attaquant placé entre l'utilisateur et le site ne voit que le fait qu'une connexion existe et quelques paramètres techniques, mais il ne peut lire le contenu du trafic. Les identifiants, mots de passe, messages et pages échangées restent chiffrés tant que la connexion HTTPS est correctement établie.

Pour mieux comprendre le fonctionnement du chiffrement HTTPS, consultez l'article " TLS 1.3 : une nouvelle ère pour la sécurité et la rapidité du web ".

Comment les certificats sécurisent la connexion

Le chiffrement seul ne suffit pas : le navigateur doit s'assurer qu'il est bien connecté au bon serveur. Pour cela, des certificats numériques lient un nom de domaine à une clé cryptographique.

Lorsqu'un utilisateur accède à un site HTTPS, le navigateur vérifie le certificat : émetteur, date de validité, organisme de confiance. Si tout est en ordre, la connexion sécurisée est établie.

Cela complique fortement les attaques MITM classiques : un attaquant ne peut intercaler son propre serveur sans posséder un certificat valide pour le domaine ciblé.

Pourquoi il ne faut pas ignorer les avertissements du navigateur

Si le navigateur ne peut vérifier l'authenticité du certificat, il affiche un avertissement de connexion non sécurisée. Ce message peut signaler une mauvaise configuration du site, un certificat expiré ou une tentative de substitution de la connexion sécurisée.

Poursuivre malgré cet avertissement est risqué, surtout lors de la saisie de mots de passe ou de données bancaires. L'utilisateur renonce alors à une vérification essentielle qui le protège des attaques MITM.

Le bouton " continuer quand même " ne doit pas être considéré comme une simple formalité. Sur un réseau inconnu ou un site important, un avertissement de certificat est une raison de couper la connexion et de vérifier l'adresse.

Est-il possible d'intercepter le trafic HTTPS ?

Être positionné entre l'utilisateur et le serveur ne suffit pas à déchiffrer HTTPS. Les versions récentes de TLS sont conçues pour empêcher un intermédiaire d'accéder simplement à la clé de chiffrement et au trafic.

Toutefois, il existe des cas où le trafic peut être déchiffré, par exemple si un certificat contrôlé par une tierce partie est installé et considéré comme fiable sur l'appareil. Ce mécanisme est utilisé dans certains réseaux d'entreprise, mais peut être détourné à des fins malveillantes.

La protection est aussi inutile si l'utilisateur visite un site de phishing doté d'un certificat HTTPS valide. Le cadenas signifie que les données sont chiffrées entre le navigateur et le serveur, mais ne garantit pas la fiabilité du propriétaire du site.

HTTPS réduit donc considérablement les risques de MITM, mais ne suffit pas à lui seul : il faut aussi vérifier l'adresse du site, prêter attention aux alertes du navigateur et éviter d'installer des certificats inconnus.

Détecter et se protéger contre une attaque MITM

Reconnaître une attaque MITM n'est pas toujours évident. Bien souvent, Internet fonctionne normalement et l'attaquant agit discrètement. La protection repose donc autant sur la réduction des risques que sur la détection.

Être attentif aux erreurs de certificat

Un des signes les plus visibles d'une tentative de substitution de connexion est l'avertissement du navigateur concernant le certificat. Cela peut provenir d'une erreur du site, mais aussi d'une tentative d'intrusion sur une connexion HTTPS.

Un avertissement sur un service fiable, habituellement accessible sans problème, doit attirer l'attention. Mieux vaut éviter de saisir un mot de passe ou des données sensibles et suspendre la connexion en attendant d'éclaircir la situation.

Il est également essentiel de vérifier l'adresse du site. Un site de phishing peut avoir un certificat HTTPS valide, mais utiliser un nom de domaine trompeur.

Prudence avec les réseaux Wi-Fi publics

Dans les lieux publics, évitez de vous connecter à des points d'accès inconnus simplement parce que leur nom ressemble à celui de l'établissement. Si possible, demandez le nom officiel du réseau au personnel.

Pour les opérations sensibles - banque en ligne, accès professionnels ou transmission de documents confidentiels - privilégiez la connexion mobile ou un réseau de confiance.

Pour en savoir plus sur les risques et les bonnes pratiques, consultez notre guide " Comment protéger vos données sur les réseaux Wi-Fi publics ".

Utiliser HTTPS et des applications à jour

La plupart des sites et applications modernes utilisent TLS, ce qui complique considérablement l'interception passive. Il est important de ne pas désactiver les protections intégrées du navigateur et de mettre à jour ses logiciels.

Les applications et protocoles anciens peuvent utiliser un chiffrement obsolète ou transmettre des données en clair, rendant la présence d'un attaquant sur le réseau bien plus dangereuse.

Activer l'authentification à deux facteurs

Si un attaquant obtient un mot de passe, le second facteur peut empêcher l'accès au compte. Les applications d'authentification et clés de sécurité matérielles sont particulièrement efficaces.

L'authentification à deux facteurs ne bloque pas la MITM en soi, mais limite les conséquences d'une compromission. Certaines attaques sophistiquées interceptent aussi les codes à usage unique, mais les méthodes liées au domaine (clés physiques, Passkeys) restent les plus fiables.

Se protéger contre les attaques MITM repose sur plusieurs couches : chiffrement, vérification des certificats, prudence sur les réseaux inconnus et sécurisation des comptes. Plus l'utilisateur respecte ces pratiques, plus il est difficile pour un attaquant de s'introduire dans l'échange de données.

Conclusion

L'attaque MITM consiste à ce qu'un cybercriminel s'intercale entre l'utilisateur et le serveur, contrôlant le trafic transitant entre eux. Pour ce faire, il peut utiliser l'ARP spoofing, le DNS spoofing, des points Wi-Fi frauduleux ou d'autres techniques d'altération de la connexion réseau.

La meilleure protection contre ce type d'attaque : un HTTPS bien configuré avec TLS, la vérification des certificats et l'attention portée aux avertissements du navigateur. Même si l'attaquant détourne le trafic, le chiffrement moderne doit l'empêcher d'accéder au contenu de la connexion sécurisée.

L'utilisateur doit éviter d'ignorer les erreurs de certificat, vérifier l'adresse du site, faire preuve de vigilance sur les réseaux Wi-Fi inconnus et renforcer la sécurité de ses comptes. Ces précautions ne demandent pas de compétences techniques, mais réduisent significativement le risque de vol de données ou de compte via une attaque MITM.